NOD ругается на deflib

[cooperspb]

Работал по инструкции, проверьте плз чисто или нет. Комп поключен к сети, работает с терминальным сервером.

[drongo]

отключить антивирус и интернет
.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('c:\windows\system32\route.dll','');
 QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
 QuarantineFile('C:\WINDOWS\system32\lich.exe','');
 QuarantineFile('C:\WINDOWS\System32\DRIVERS\tcpip.sys','');
 QuarantineFile('c:\windows\system32\svchost.exe','');
 BC_ImportALL;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=19576

это вы сами с hosts игрались? больно подозрительно, все запросы на популярные поисковики идут на какой-то левый сервер.

[cooperspb]

К сожаленю нету возможности физического контакта с этим компьютером. Выполнил скрипт с вкл интернетом. При попытке запаковать файл карантина пишет:
E:\avz4\Quarantine\2008-03-11\bcqr00009.dta отказано в доступе
E:\avz4\Quarantine\2008-03-11\bcqr00010.dta отказано в доступе

[pig]

Антивирус мешает. При выполнении скриптов (и запаковке карантина) надлежит отключать.

[cooperspb]

Загрузил карантин. НОД опять кричит:
12.03.2008 9:52:52 - AMON - сканер по доступу Инициирована программная вирусная тревога на xxx: C:\WINDOWS\System32\svchost.exe инфицирован Win32/Qhost.ACB вирус.
12.03.2008 9:53:41 - Ядро NOD32 Инициирована программная вирусная тревога на xxx: C:\WINDOWS\system32\svchost.exe инфицирован Win32/Qhost.ACB вирус.
12.03.2008 9:56:50 - AMON - сканер по доступу Инициирована программная вирусная тревога на xxx: C:\WINDOWS\System32\svchost.exe инфицирован Win32/Qhost.ACB вирус.

[V_Bond]

в карантине C:\WINDOWS\System32\DRIVERS\tcpip.sys - он чистый ....
других интересющих файлов нет ...

[cooperspb]

Перезалил. Забыл пароль поставить

[V_Bond]

выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\svchost.exe','');
 QuarantineFile('c:\windows\system32\route.dll','');
 QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
 QuarantineFile('C:\lich.exe','');
 BC_DeleteSvc('ZZZsvc_lich');
 DeleteFile('C:\lich.exe');
 DeleteFile('C:\WINDOWS\system32\cssrss.exe');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите крантин согласно приложения 3 правил ...

[cooperspb]

Обновил карантин, но при выполнении скрипта вылетали красные надписи, типо ошибка карантиана, ошибка прямого чтения файла карантина.

[V_Bond]

повторите логи ....

[cooperspb]

Обновил логи

[cooperspb]

обновил, наконец-то

[V_Bond]

выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('lich');
 DeleteFile('C:\WINDOWS\system32\lich.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

отключите антивирус ..
c:\windows\system32\svchost.exe - запакуйте с паролем virus и пришлите согласно приложения 3 правил ....

[cooperspb]

снес НОД, выполнил скрипт. Выслал фаил.

[V_Bond]

c:\windows\system32\svchost.exe - Trojan.Qhost.45080
замените на чистый (приатаченый).... и повторите логи ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 36
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\realvnc\\vnc4\\wm_hooks.dll - not-a-virus:RemoteAdmin.Win32.WinVNC.4 (DrWEB: Program.RemoteAdmin)
  2. \\svchost.exe - Trojan.Win32.Qhost.air (DrWEB: Trojan.Qhost.45080)